OpenEvoShield: defensa de sistemas multiagente de LLM frente a inyecciones que evolucionan

En julio de 2026, un grupo de investigadores publicó en arXiv el framework OpenEvoShield, un sistema de defensa continua para sistemas multiagente basados en grandes modelos de lenguaje (LLM-MAS). A lo largo de 100 rondas de despliegue, reconoce la mayoría de los ataques de inyección que no había visto antes, con un bajo nivel de falsos positivos.

Contra qué ataques protege

OpenEvoShield protege los LLM-MAS frente a la inyección de instrucciones maliciosas a través de la comunicación entre agentes: el atacante introduce una orden en un agente y este propaga el comportamiento malicioso por todo el sistema mediante su intercambio de mensajes con otros agentes. Según los autores, estos ataques son «doblemente dinámicos»: los atacantes perfeccionan sus estrategias de inyección contra la defensa ya desplegada, y el comportamiento de los agentes normales se desplaza a medida que el sistema crece. Por eso las defensas estáticas, entrenadas una sola vez, pierden precisión con rapidez.

Cómo funciona la defensa

OpenEvoShield está concebido como una co-evolutionary continual defense: una defensa que evoluciona junto con los ataques en lugar de quedar congelada tras el entrenamiento. Según el preprint, el framework consta de cuatro módulos.

• M1 — controlador asimétrico de velocidades: separa el aprendizaje rápido del lado del ataque y el aprendizaje lento del lado del comportamiento normal mediante dos señales de deriva
• M2 — actualización del límite de la norma: mantiene de forma lenta un límite de comportamiento dinámico de los agentes «normales»
• M3 — ensamble de políticas con regularización EWC: se adapta con rapidez a nuevas amenazas sin olvidar catastróficamente las anteriores
• M4 — detector energético de granularidad múltiple: combina rasgos a nivel de nodo, subgrafo y grafo para clasificar un ataque nuevo como una anomalía fuera de la distribución de entrenamiento
• Pruebas — 100 rondas de despliegue sobre 5 benchmarks y 4 topologías de sistemas multiagente

¿Por qué falla la defensa convencional?

La defensa convencional falla porque trata el despliegue como un «mundo cerrado» y pierde precisión en cuanto la distribución de los ataques o del comportamiento normal se sale de la muestra de entrenamiento. Según arXiv, OpenEvoShield lo resuelve con velocidades de aprendizaje separadas: el lado del ataque se ajusta con rapidez, mientras que el límite de la norma se actualiza despacio, lo que evita que el sistema confunda una deriva gradual con un ataque. En 100 rondas, los experimentos mostraron que el método supera tanto a los enfoques estáticos como a los de referencia continual.

«OpenEvoShield supera a los métodos de referencia estáticos y

continual al detectar la mayoría de los ataques no vistos previamente con un bajo nivel de falsos positivos», señala el resumen del preprint en arXiv.

Qué significa

A medida que las empresas montan pipelines de trabajo con agentes de LLM, la seguridad de la comunicación entre agentes se convierte en un problema de ingeniería por derecho propio. OpenEvoShield apunta una dirección: la defensa debe aprender de forma continua y en tiempo real, y distinguir la evolución de los ataques de la deriva natural del sistema.

Preguntas frecuentes

¿Qué es un ataque a través de la comunicación entre agentes?

Es un ataque en el que el atacante inserta una instrucción maliciosa en el mensaje de un agente y esta se propaga por el sistema mientras los agentes intercambian datos. Según los autores, es la amenaza clave para los sistemas multiagente de LLM en tareas críticas para la seguridad.

¿Con qué se probó OpenEvoShield?

Según el preprint, el método se ejecutó durante 100 rondas de despliegue sobre 5 benchmarks y 4 topologías de sistemas multiagente. En esas condiciones superó a los enfoques estáticos y a los de referencia continual, y detectó la mayoría de los ataques nuevos con un bajo porcentaje de falsos positivos.